OWASP-Inkubator-Projekt: erkennt in browserbereitgestellten Inhalten (JavaScript, Konfigurationsantworten, Live-Traffic) offengelegte Anmeldedaten.
SecretSifter ist ein OWASP-Inkubatorprojekt, das Zugangsdaten aufspürt, die in dem, was Webanwendungen tatsächlich an den Browser ausliefern, offengelegt werden: JavaScript-Bundles, Konfigurationsantworten und andere Live-Inhalte.
Das Scannen auf Secrets vor der Bereitstellung betrachtet den Quellcode. Einige Zugangsdaten werden erst zur Build- oder Laufzeit eingefügt und erscheinen daher nie im Repository, das gescannt wird. SecretSifter untersucht den Datenverkehr, während er den Browser erreicht, und meldet jeden Fund mit seinem Ort und seinen Belegen, damit ein Tester ihn bewerten kann.
| Edition | Bezug | Quelle |
|---|---|---|
| Burp-Suite-Erweiterung | Aus dem Quellcode erstellen | burp-extension/ (MIT) |
| Burp-Suite-Erweiterung mit KI-Triage und MCP | Aus dem Quellcode erstellen | burp-mcp/ (MIT) |
| Chrome-Erweiterung | Chrome Web Store | Demnächst verfügbar (MIT, auf der Roadmap) |
| Firefox-Erweiterung | Firefox Add-ons | Demnächst verfügbar (MIT, auf der Roadmap) |
| Desktop-App (macOS, Windows) | Releases | Demnächst verfügbar (MIT, auf der Roadmap) |
| InsecureShield-Übungsziel (nur synthetische Zugangsdaten) | secretsifter/insecureshield-demo | MIT |
Beide Burp-Editionen werden mit ./gradlew shadowJar erstellt (Java 17+). Jeder Ordner hat eine eigene README mit Build- und Installationsschritten.
Scannen Sie nur Anwendungen, die Ihnen gehören oder die Sie testen dürfen. Wenn Sie ein aktives Zugangsdatum finden, melden Sie es, damit es rotiert werden kann, und veröffentlichen Sie niemals seinen Wert.
Issues und Pull Requests sind willkommen, insbesondere neue Erkennungsregeln mit Testfällen für sowohl echte als auch falsch-positive Treffer.
Beiträge werden unter dem Developer Certificate of Origin angenommen. Signieren Sie jeden Commit mit git commit -s.
Projektseite: owasp.org/projects/secretsifter
Der Quellcode ist unter MIT lizenziert (siehe LICENSE). Die Dokumentation ist unter CC BY-SA 4.0 lizenziert.
